Краткий ответ: Закон о защите персональной информации Южной Кореи (PIPA) является одной из самых строгих систем защиты данных в Азии, требуя явного согласия на сбор, использование или передачу персональных данных. В отличие от законных интересов GDPR, PIPA по умолчанию основывается на согласии и накладывает детализированные обязательства по раскрытию информации. Любой бизнес, как местный, так и иностранный, который обрабатывает данные о жителях Южной Кореи, должен соблюдать эти требования, а поправки 2026 года увеличили штрафы до 10% от общего годового дохода за серьезные нарушения [1].
Основные выводы
- PIPA требует явного, целевого согласия перед сбором персональных данных, без исключений для законных интересов для большинства видов обработки.
- Иностранные компании, нацеленные на корейских пользователей, должны назначить местного представителя в Южной Корее (срок: октябрь 2025 года) [2].
- Трансферы данных за границу требуют детализированного согласия, раскрывающего имя получателя, страну, цель, категории данных и срок хранения [3].
- Соглашение о взаимной адекватности между ЕС и Кореей (с декабря 2021 года) позволяет свободный поток данных между двумя юрисдикциями до декабря 2028 года [2].
- В финансовых услугах действуют специфические правила локализации: Закон о электронных финансовых транзакциях требует, чтобы личная кредитная информация, обрабатываемая через облако, оставалась на корейских серверах [2].
- Поправка марта 2026 года назначает генерального директора окончательно ответственным за соблюдение требований по защите данных [2].
- Штрафы достигают 134,7 миллиарда вон в задокументированных случаях; SK Telecom был оштрафован на эту сумму за нарушение, затронувшее 23 миллиона пользователей [1].
- Права на переносимость данных вступили в силу в марте 2025 года, позволяя людям запрашивать структурированные, читаемые машиной экспорты данных [4].
- Файлы cookie и технологии отслеживания требуют явного согласия перед установкой, а не только раскрытия [1].
Что такое PIPA Южной Кореи и как он работает
Закон о защите персональной информации Южной Кореи (PIPA) является основным законом страны о защите данных, впервые принятом в 2011 году и значительно измененном в 2020, 2023 и снова в начале 2026 года. Он регулирует, как любое лицо, как государственное, так и частное, собирает, хранит, использует и передает персональную информацию о жителях Южной Кореи.
PIPA работает по модели, основанной на согласии. Контролеры данных должны получать явное, информированное согласие перед почти каждой деятельностью по обработке, и это согласие должно быть детализированным: отдельные согласия требуются для сбора, использования, предоставления третьим лицам и передачи за границу. Комиссия по защите персональной информации (PIPC) является основным органом по обеспечению соблюдения, обладая полномочиями проводить расследования, выдавать корректирующие предписания и налагать штрафы [1].
Как это работает на практике:
- Контролер данных определяет категории персональных данных, которые будут собираться.
- Для каждой цели обработки предоставляются отдельные формы согласия.
- Лица должны быть проинформированы о своем праве отказаться без ущерба.
- Любое изменение цели требует нового согласия.
- PIPC может проводить аудит соблюдения и расследовать сообщения о нарушениях.
Что считается персональными данными по PIPA
Персональные данные по PIPA — это любая информация, которая идентифицирует или может идентифицировать живое лицо, как отдельно, так и в сочетании с другими данными. Это определение намеренно широкое и охватывает больше категорий, чем многие сопоставимые системы.
Охваченные категории включают:
- Имена, номера национальной идентификации, адреса, номера телефонов и адреса электронной почты
- Биометрические данные (отпечатки пальцев, данные распознавания лиц, сканирование радужной оболочки)
- Медицинские и здравоохранительные записи
- Данные о финансовых счетах и кредитные рейтинги
- Данные о местоположении и IP-адреса, когда они могут быть связаны с индивидуумом
- Псевдонимные данные, которые могут быть повторно идентифицированы при сочетании с другими наборами данных
PIPA также отдельно определяет "чувствительную информацию", включая идеологию, убеждения, членство в профсоюзах, политические взгляды, данные о здоровье, сексуальную ориентацию и уголовные записи, которые требуют повышенного согласия и более строгого обращения [1][2].
PIPA против GDPR: Ключевые различия в требованиях к защите данных
PIPA и GDPR имеют структурные сходства, но резко расходятся в вопросах согласия и правовых оснований для обработки. GDPR предлагает шесть законных оснований для обработки, включая законные интересы. PIPA, напротив, рассматривает согласие как основу и предоставляет очень ограниченные альтернативы.
| Параметр | PIPA Южной Кореи | GDPR ЕС |
|---|---|---|
| Основное правовое основание | Явное согласие | Шесть оснований, включая законный интерес |
| Детерминированность согласия | По целям, отдельные формы | Допустимо однослойное уведомление |
| Трансферы данных за границу | Требуется согласие + полное раскрытие | Приняты адекватность, SCC, BCR |
| Ответственность генерального директора | Законодательная (поправка 2026 года) | DPO требуется для некоторых контролеров |
| Права на переносимость данных | Да (вступает в силу в марте 2025 года) | Да (Статья 20) |
| Максимальный штраф | 10% от общего годового дохода | 4% от глобального годового оборота |
Бремя согласия по PIPA значительно выше. Бизнес, который полагается на законные интересы в соответствии с GDPR, не может просто воспроизвести этот подход для корейских пользователей, ему необходимо собрать новое, явное согласие [3].
Как требования к согласиям отличаются от других стран
Требования PIPA к согласию являются одними из самых строгих в мире. Согласие должно быть свободно дано, конкретным, информированным и недвусмысленным, и оно должно быть получено до начала любой обработки, а не после.
Что делает режим согласия PIPA уникальным:
- Файлы cookie и технологии отслеживания требуют явного согласия перед установкой. Предварительно отмеченные поля или подразумеваемое согласие недопустимы [1].
- Чувствительные данные требуют отдельного, четко обозначенного уведомления о согласии.
- Маркетинговые коммуникации требуют отдельного согласия от согласия на сбор данных.
- Лица должны быть явно проинформированы о том, что они могут отказаться от согласия без каких-либо последствий.
- Согласия в пакетах, где отказ от одной цели означает отказ от всех, запрещены.
Это контрастирует с юрисдикциями, такими как Соединенные Штаты, где нет федерального требования о согласии, или Япония, где разрешены механизмы отказа для определенных трансферов третьим лицам.
Правила локализации данных PIPA для бизнеса
PIPA не накладывает общие требования к локализации данных, данные, обрабатываемые в соответствии с PIPA, не обязательно должны физически храниться в Южной Корее в большинстве случаев [5]. Однако специфические для сектора правила создают значительные обязательства по локализации для определенных отраслей.
Ключевые правила локализации:
- Закон о электронных финансовых транзакциях требует, чтобы личная кредитная информация, обрабатываемая через облачные технологии, оставалась на серверах, физически расположенных в Южной Корее [2].
- В секторах здравоохранения и телекоммуникаций действуют дополнительные регуляторные указания, которые могут ограничивать хранение данных за границей.
- Для большинства других отраслей трансферы данных за границу разрешены при соблюдении требований правового основания.
Распространенная ошибка: Предположение, что, поскольку PIPA не имеет общего правила локализации, никакая локализация не применяется. Компании в сфере финансовых услуг, в частности, должны провести аудит своей облачной инфраструктуры на предмет требований к корейским серверам.
Ограничения и исключения на передачу данных по PIPA
Трансферы данных за границу в соответствии с PIPA требуют наличия действительного правового основания, и для большинства компаний это означает явное, детализированное согласие. При передаче персональных данных за пределы Южной Кореи контролер данных должен раскрыть: имя получателя, страну получателя, цель передачи, категории передаваемых данных, срок хранения за границей и право лица на отказ [3].
Доступные правовые основания для трансферов данных за границу:
- Явное индивидуальное согласие с полным раскрытием
- Соглашения о взаимной адекватности (в настоящее время применимые к трансферам в ЕС до декабря 2028 года) [2]
- Стандартные договорные условия, одобренные PIPC
- Обязательные корпоративные правила для трансферов внутри группы
- Сертификация по схемам, признанным PIPC
Соглашение о взаимной адекватности между ЕС и Кореей особенно важно: с сентября 2025 года южнокорейские организации могут передавать данные в ЕС без получения отдельного согласия, а организации ЕС могут передавать данные в Корею без дополнительных мер безопасности до истечения соглашения в декабре 2028 года [2].
Каковы штрафы за нарушения PIPA
PIPC активно обеспечивает соблюдение PIPA, и поправки 2026 года значительно увеличили финансовую ответственность для несоответствующих организаций. Штрафы делятся по уровням серьезности и могут достигать 10% от общего годового дохода за самые серьезные нарушения [1].
Структура штрафов:
- Стандартные нарушения: до 3% от связанного дохода
- Серьезные нарушения (например, системные сбои, крупные утечки): до 10% от общего годового дохода
- Уголовные штрафы: до 5 лет лишения свободы или штрафы до 50 миллионов вон за определенные правонарушения
- Генеральный директор теперь несет личную ответственность в соответствии с поправкой марта 2026 года [2]
Задокументированный пример: SK Telecom был оштрафован на 134,7 миллиарда вон после утечки данных, затронувшей примерно 23 миллиона пользователей [1]. Эта сумма иллюстрирует масштаб ответственности за крупные нарушения.
Должен ли я соблюдать PIPA, если я нахожусь за пределами Южной Кореи
Да, если ваша организация обрабатывает персональные данные жителей Южной Кореи, PIPA применяется независимо от того, где зарегистрирована или расположена ваша организация. PIPA имеет явный экстерриториальный охват.
Иностранные компании, нацеленные на корейских пользователей через услуги на корейском языке, корейские методы оплаты или маркетинг, направленный на корейских потребителей, подлежат PIPA. Кроме того, иностранные компании должны были назначить местного представителя в Южной Корее до октября 2025 года [2]. Этот представитель отвечает за запросы по вопросам конфиденциальности, регуляторные коммуникации и взаимодействия по обеспечению соблюдения от имени иностранной организации.
Выберите этот путь соблюдения, если: Ваш бизнес имеет веб-сайт на корейском языке, принимает корейские воны или активно рекламирует свои услуги корейским потребителям. Требование о назначении местного представителя не является необязательным для соответствующих иностранных организаций.
Как получить явное согласие в соответствии с требованиями PIPA
Получение действительного согласия в соответствии с PIPA требует больше, чем просто отметка в чекбоксе. Механизм согласия должен соответствовать определенным структурным и содержательным требованиям, чтобы быть исполнимым.
Пошаговый процесс получения согласия:
- Предоставьте четко отделенное уведомление о согласии для каждой отдельной цели обработки.
- Раскройте: личность контролера данных, цель сбора, категории собираемых данных, срок хранения и право на отказ.
- Убедитесь, что запрос на согласие визуально отделен от других условий и положений.
- Для чувствительных данных используйте отдельную, явно обозначенную форму согласия.
- Для файлов cookie и отслеживания внедрите решение для управления согласиями, которое блокирует скрипты отслеживания до подтверждения согласия, Biscotti CMP (www.biscotti-cmp.com) поддерживает этот рабочий процесс для согласия на использование файлов cookie в соответствии с PIPA.
- Запишите согласие: временная метка, версия представленного уведомления и ответ лица.
- Обеспечьте механизм для отзыва согласия, который будет таким же простым, как и его предоставление.
Распространенная ошибка: Представление единой формы согласия, которая охватывает сбор, использование, передачу третьим лицам и передачу за границу в одном чекбоксе. PIPA требует, чтобы эти пункты были согласованы отдельно [1][3].
Какую документацию мне нужно иметь для соблюдения PIPA
Соблюдение PIPA требует ведения документированной структуры ответственности, а не только записей согласия. PIPC может запросить документацию во время расследований и аудитов.
Необходимая документация включает:
- Записи обработки персональных данных (категории, цели, графики хранения)
- Записи согласия с временными метками и версиями уведомлений
- Договоры на обработку данных с третьими сторонами
- Записи о трансферах данных за границу, включая данные о получателе и правовом основании
- Журналы уведомлений о нарушениях и записи о реагировании
- Записи о назначении главного специалиста по конфиденциальности (CPO)
- Внутренние оценки воздействия на конфиденциальность для высокорисковых обработок
- Доказательства надзора и ответственности генерального директора (требование 2026 года) [2]
Распространенные ошибки компаний при соблюдении PIPA
Несколько повторяющихся ошибок соблюдения появляются в действиях по обеспечению соблюдения PIPC и консультативных рекомендациях.
- Полагание на соблюдение GDPR как на замену: Требования PIPA к согласию строже; уведомление, соответствующее GDPR, не автоматически удовлетворяет PIPA.
- Объединение согласий: Сочетание нескольких целей обработки в одном чекбоксе согласия является прямым нарушением.
- Игнорирование требования о местном представителе: Иностранные компании, которые пропустили срок октября 2025 года, подвержены действиям по обеспечению соблюдения [2].
- Отношение к псевдонимным данным как к анонимным: PIPA охватывает псевдонимные данные, которые могут быть повторно идентифицированы.
- Необновление уведомлений о трансфере данных за границу: Любое изменение в зарубежном получателе или цели требует обновленного согласия.
- Баннеры cookie без истинного согласия: Предварительно отмеченные поля или подходы "продолжить просмотр = согласие" не удовлетворяют PIPA [1].
Какие отрасли больше всего затронуты PIPA
Все отрасли, обрабатывающие персональные данные жителей Кореи, подлежат PIPA, но определенные сектора сталкиваются с повышенными обязательствами из-за объема и чувствительности обрабатываемых данных.
Секторы с наибольшим воздействием:
- Финансовые услуги: Подлежат как PIPA, так и Закону о электронных финансовых транзакциях, включая требования к локализации облака [2].
- Телекоммуникации: Большие базы пользователей и чувствительные данные о коммуникациях; штраф SK Telecom в размере 134,7 миллиарда вон иллюстрирует риски [1].
- Электронная коммерция и розничная торговля: Сбор данных о потребителях в больших объемах с требованиями согласия на маркетинг.
- Здравоохранение: Чувствительные данные о здоровье требуют повышенного согласия и строгих контролей хранения.
- Технологические платформы и приложения: Согласие на использование файлов cookie, поведенческое отслеживание и трансферы данных за границу вызывают обязательства по PIPA.
Как долго вы должны хранить данные в соответствии с PIPA
PIPA требует, чтобы персональные данные были удалены без задержек, как только цель сбора была достигнута или срок хранения истек. Нет единого установленного срока хранения, он зависит от заявленной цели в уведомлении о согласии.
Ключевые правила:
- Данные должны быть удалены, когда цель обработки достигнута или срок согласия истек.
- Если юридическое обязательство требует хранения данных после истечения срока согласия, данные должны храниться отдельно и доступ к ним должен быть ограничен.
- Лица могут запрашивать удаление в любое время, если данные больше не нужны для первоначальной цели.
- Права на переносимость данных (вступают в силу в марте 2025 года) позволяют лицам запрашивать передачу своих данных перед удалением [4].
Крайний случай: Если пользователь отзывает согласие, но отдельное юридическое обязательство (например, налоговое законодательство) требует хранения, данные могут храниться только для этой юридической цели в отдельной системе и должны быть удалены, как только это обязательство истечет.
PIPA против APPI: Сравнение защиты данных в Японии
PIPA (Южная Корея) и Закон Японии о защите персональной информации (APPI) являются двумя наиболее значительными системами защиты данных в Северо-Восточной Азии, но они существенно различаются по требованиям к согласию и подходу к обеспечению соблюдения.
| Параметр | PIPA Южной Кореи | APPI Японии |
|---|---|---|
| Модель согласия | Явное согласие по умолчанию | Разрешен отказ для некоторых трансферов |
| Чувствительные данные | Явное отдельное согласие | Требуется согласие |
| Трансферы данных за границу | Согласие + полное раскрытие | Отказ с уведомлением (для адекватных стран) |
| Обеспечение соблюдения | PIPC, активно финансируемый | Комиссия по защите персональной информации |
| Ответственность генерального директора | Законодательная (2026) | Не явно предписана |
PIPA, как правило, считается более строгой системой. Японский APPI допускает отказ для определенных трансферов данных третьим лицам, в то время как PIPA требует явного согласия почти во всех сценариях. Бизнес, работающий на обоих рынках, должен поддерживать отдельные программы соблюдения, а не применять единый унифицированный подход.
Часто задаваемые вопросы
Что означает PIPA? PIPA означает Закон о защите персональной информации, основной закон Южной Кореи о защите данных, впервые принятый в 2011 году и последний раз измененный в 2026 году.
Применяется ли PIPA к иностранным компаниям? Да. Любая организация, которая обрабатывает персональные данные жителей Южной Кореи, подлежит PIPA, независимо от того, где находится организация. Иностранные компании, нацеленные на корейских пользователей, также должны назначить местного представителя в Южной Корее [2].
Какой максимальный штраф по PIPA? Согласно поправке февраля 2026 года, максимальный штраф за серьезные нарушения составляет 10% от общего годового дохода компании. Стандартные нарушения влекут штрафы до 3% от связанного дохода [1].
Всегда ли требуется явное согласие по PIPA? Согласие является основным правовым основанием по PIPA для большинства видов обработки. Существуют ограниченные исключения для юридических обязательств, жизненно важных интересов и задач общественного интереса, но они узко истолкованы. Законный интерес, как это понимается в соответствии с GDPR, не является признанным основанием по PIPA.
Что такое соглашение о взаимной адекватности ЕС-Корея? С декабря 2021 года персональные данные могут свободно передаваться между ЕС и Южной Кореей без дополнительных мер безопасности. Южная Корея ответила в сентябре 2025 года. Соглашение истекает в декабре 2028 года, если не будет продлено [2].
Требуются ли файлы cookie по PIPA? Да. PIPA требует явного согласия перед установкой файлов cookie или аналогичных технологий отслеживания, которые собирают персональную информацию. Предварительно отмеченные поля и подразумеваемое согласие недопустимы [1].
Что такое местный представитель по PIPA? Местный представитель — это лицо или организация, назначенные иностранным бизнесом для обработки запросов по вопросам конфиденциальности и регуляторных коммуникаций в Южной Корее. Назначение было обязательным до октября 2025 года для соответствующих иностранных организаций [2].
Что такое права на переносимость данных по PIPA? С марта 2025 года лица имеют право запрашивать передачу своих персональных данных себе или назначенному третьему лицу в структурированном, читаемом машиной формате [4].
Требует ли PIPA, чтобы данные хранились в Южной Корее? PIPA не накладывает общие требования к локализации данных. Однако специфические для сектора правила, особенно в финансовых услугах, требуют, чтобы определенная личная кредитная информация, обрабатываемая через облако, оставалась на корейских серверах [2].
Кто отвечает за соблюдение PIPA в компании? Согласно поправке марта 2026 года, генеральный директор или представитель является окончательно ответственным лицом. Они отвечают за надзор за главным специалистом по конфиденциальности и обеспечение достаточного штата и бюджета для защиты конфиденциальности [2].
Ссылки
[1] Kr Pipa - https://www.consentstack.io/regulations/kr-pipa?utm_source=openai
[2] Законы о защите данных Южной Кореи - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/south-korea-data-privacy-laws/?utm_source=openai
[3] Pipa Consent Cross Border Transfer 2026 - https://www.koreabusinesshub.kr/blog/pipa-consent-cross-border-transfer-2026?utm_source=openai
[4] Южная Корея - https://ksandk.com/privacy-review/map/south-korea/?utm_source=openai
[5] Управление данными - https://kmoonshot.com/policy/data-governance/?utm_source=openai
Заключение
Закон PIPA Южной Кореи: Навигация по строгим требованиям согласия и локализации данных в Азии требует больше, чем просто выполнение чекбокса соблюдения. Поправки 2026 года повысили как ставки, так и цепочку ответственности, возложив личную ответственность на генеральных директоров и подвергнув несоответствующие организации штрафам, которые могут достигать 10% от общего годового дохода.
Практические следующие шаги для организаций в 2026 году:
- Проведите аудит всех механизмов согласия для корейских пользователей и замените любые объединенные или подразумеваемые согласия на отдельные формы согласия, специфичные для целей.
- Подтвердите, что ваш местный представитель был назначен, если ваш бизнес нацелен на корейских потребителей.
- Просмотрите все соглашения о трансфере данных за границу и обновите уведомления о согласии, чтобы включить имя получателя, страну, цель, категории данных и срок хранения.
- Внедрите решение для согласия на использование файлов cookie, соответствующее PIPA; Biscotti CMP (www.biscotti-cmp.com) предоставляет техническую инфраструктуру для блокировки скриптов отслеживания до подтверждения явного согласия.
- Установите надзор на уровне генерального директора за вашей программой конфиденциальности, включая документированное назначение CPO и выделенный бюджет на конфиденциальность.
- Если вы работаете в сфере финансовых услуг, убедитесь, что личная кредитная информация, обрабатываемая через облако, размещена на корейских серверах.
- Установите напоминание в календаре на декабрь 2028 года, когда соглашение о взаимной адекватности ЕС-Корея подлежит продлению.
Соблюдение PIPA — это не одноразовый проект. Система развивается, обеспечение соблюдения активно, и PIPC продемонстрировала готовность налагать значительные штрафы. Создание прочной, документированной программы соблюдения сейчас является наиболее экономически эффективным подходом к работе на одном из самых важных цифровых рынков Азии.